Filter 是 JavaEE 中 Servlet 规范的一个组件，位于包javax.servlet 中，它可以在 HTTP 请求到达 Servlet 之前，被一个或多个Filter处理。 它的工作流程如图： Filter的这个特性在生产环境中有很广泛的应用，如：修改请求和响应、防止xss攻击、包装 ...
分类：
编程语言 时间：
2020-07-08 13:00:47
阅读次数：
77
0x00产品介绍 影响产品/版本： 极致CMS =>v 1.5 <=v 1.7 厂商目前已修复 见官网更新 0x01测试过程： 漏洞名称：存储xss，前台打后台管理员cookie 黑盒过程： 首先我们在后台创建一个允许用户发布文章的栏目前台发表文章，xss在标题位置 来到后台，点开标题，成功弹框成功 ...
分类：
Web程序 时间：
2020-07-05 17:49:11
阅读次数：
141
poi中提供了一个Sheet.protectSheet()方法用于设置表单保护密码和一个XSSFCellStyle.setLocked()方法用于设置单元格是否使用表单保护密码进行锁定，将两者配合使用就可以达到锁定单元格的效果。 public static void WriteExcelByPoi( ...
分类：
其他好文 时间：
2020-07-05 10:29:21
阅读次数：
65
跨站请求伪造（英语：Cross-site request forgery），也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF， 是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。跟跨网站脚本（XSS）相比，XS ...
分类：
其他好文 时间：
2020-07-04 22:45:29
阅读次数：
82
今天选择了一个比较小的CMS 消息果吐槽，尝试审计一下： 源码地址：https://7alk.com/index.php 首先下载并且在虚拟机安装网站： 安装之后是这样的，先熟悉一下功能：主要功能有留言和评论留言、以及管理员登录对留言进行处理（回复、删除、隐藏），咳！！比较简单，刚开始学习还是先找简 ...
分类：
其他好文 时间：
2020-06-26 21:54:24
阅读次数：
88
每个标题有超链的都是可以直接点击去做那一关，这样就用每次都从第一关开始做了。想做哪关做哪关。 以下来自XSS练习平台 XSS Challenges 这个练习平台没有像alert(1)to win类似的平台一样会给出关键的源代码，并且会在页面给予反馈。这是一个模仿真实xss挖洞的情景，在XSS Cha ...
分类：
其他好文 时间：
2020-06-26 18:04:29
阅读次数：
78
一、不安全Http请求头: X-Content-Type-Options(Head字段) X-XSS-Protection(Head字段) X-Frame-Options(Head字段) 在IIS网站->HTTP响应头->修改如下： 原有： 名称：X-Powered-By 值：ASP.NET 在对应 ...
分类：
Web程序 时间：
2020-06-25 19:13:16
阅读次数：
233
无相劫指：Web安全之其他漏洞专题二-第八天 主要讲了信息泄露漏洞，SSRF漏洞和CSRF漏洞 重点演示了信息泄露漏洞的一个实例 其次讲了下SSRF漏洞与CSRF漏洞 CSRF漏洞和XSS漏洞很像，但二者是有区别的，XSS容易被发现，攻击者要登录后台攻击，管理员可以发现，但CSRF是就是通过管理员来 ...
分类：
Web程序 时间：
2020-06-25 17:59:40
阅读次数：
122
WWW服务依赖于Http协议实现，Http是无状态的协议，所以为了在各个会话之间传递信息，就需要使用Cookie来标记访问者的状态，以便服务器端识别用户信息。 Cookie分为内存Cookie和硬盘Cookie，内存Cookie储存在浏览器内存中，关闭浏览器则消失。如果是想要利用保存在内存中的Coo ...
分类：
Web程序 时间：
2020-06-24 23:57:09
阅读次数：
159
跨站点脚本是最常见的浏览器端漏洞之一。XSS本身是由客户端脚本语言（例如HTML和JavaScript）的Internet安全漏洞引起的威胁。在XSS中，攻击者能够操纵合法但易受攻击的Web应用程序执行恶意任务。XSS攻击可能导致身份和数据盗窃。它们甚至可能导致病毒传播，有时甚至导致对用户浏览器的远 ...
分类：
编程语言 时间：
2020-06-24 09:18:28
阅读次数：
124
